63 % sans gouvernance IA ? Le chiffre sourcé (Trustmarque 2025)

Une organisation sans gouvernance IA désigne ici une structure qui utilise ou expérimente des systèmes d’intelligence artificielle sans inventaire partagé, responsables identifiés, règles de décision ni mécanisme de suivi. Le chiffre de 63 % initialement évoqué dans ce brouillon n’avait pas de source primaire vérifiable et ne doit pas être repris.

Après recherche, l’AI Governance Index 2025 de Trustmarque, réalisé avec IBM et Acutest auprès de 507 décideurs IT au Royaume-Uni (enquête menée du 10 mai au 1er juin 2025), fournit une donnée comparable et sourcée : 54 % des organisations n’ont aucune gouvernance IA ou une gouvernance très limitée, et seules 7 % l’ont pleinement intégrée à leurs processus, alors que 93 % d’entre elles utilisent déjà l’IA sous une forme ou une autre. Cette définition opérationnelle permet de mener un diagnostic sans transformer une statistique non vérifiée en argument d’autorité.

Un pourcentage isolé ne renseigne ni le périmètre de l’enquête, ni la définition retenue de la gouvernance, ni la date de collecte. Une organisation peut disposer d’une charte sans registre, d’un comité sans processus de revue, ou de contrôles techniques sans propriétaire métier. Selon le critère choisi, elle sera classée comme gouvernée ou non gouvernée.

Avant publication, il faut retrouver le rapport d’origine et répondre à cinq questions :

C’est cette grille qui a permis d’écarter le chiffre de 63 % — sans institution, ni méthodologie, ni date identifiables — et de lui substituer une donnée traçable : le rapport Trustmarque cite ses auteurs (Trustmarque, IBM, Acutest), sa population (507 décideurs IT britanniques), sa méthode (enquête structurée) et sa date de collecte (mai-juin 2025).

La gouvernance IA est un système de décision. Elle relie les usages aux objectifs métier, aux données mobilisées, aux personnes responsables et aux preuves de contrôle. Une politique écrite est utile, mais elle ne suffit pas si personne ne sait comment déclarer un nouvel outil ou suspendre un usage problématique.

Le diagnostic doit porter sur ces objets observables. Il évite les réponses binaires et met en évidence les écarts à traiter en priorité.

Le premier risque est décisionnel : une direction ne peut pas arbitrer ce qu’elle ne connaît pas. Des équipes peuvent acheter plusieurs outils équivalents, transmettre des informations sensibles à des services non évalués ou intégrer une sortie générée dans un processus critique sans contrôle adapté.

Ces catégories ne préjugent d’aucune obligation juridique particulière. Elles constituent une grille de travail à adapter avec les fonctions juridique, sécurité, données et métiers selon le contexte de l’organisation.

Commencez par un recensement court auprès des responsables métier, de l’IT, des achats et de la sécurité. Demandez le nom de l’outil, le fournisseur, l’objectif, les utilisateurs, les données concernées, le niveau d’autonomie et la personne qui valide les résultats. Ne cherchez pas immédiatement l’exhaustivité : cherchez un premier référentiel vérifiable.

Ensuite, qualifiez chaque usage avec une échelle simple : découvert, déclaré, évalué, autorisé, surveillé ou retiré. Associez à chaque statut une décision, un responsable et une date de prochaine revue. Les cas manipulant des données sensibles, touchant un grand nombre de personnes ou déclenchant une action automatique passent en priorité.

Enfin, produisez deux indicateurs internes : la part des usages avec propriétaire identifié et la part des usages ayant une preuve de revue récente. Contrairement à un chiffre externe non sourcé, ces mesures sont rattachées à une définition, une date et un périmètre contrôlables.

Une statistique publiable doit être accompagnée d’un lien vers la source primaire, du nom de l’étude, de sa date, de la taille de l’échantillon et d’une phrase sur sa méthode. Le titre doit refléter exactement la population étudiée. Si l’étude interroge uniquement des décideurs d’un secteur dans un pays, le résultat ne peut pas devenir une affirmation sur « les organisations » en général.

Le chiffre de 63 % est donc remplacé par une donnée sourcée : selon l’AI Governance Index 2025 de Trustmarque (avec IBM et Acutest, 507 décideurs IT britanniques interrogés entre le 10 mai et le 1er juin 2025), 54 % des organisations n’ont pas de gouvernance IA structurée et seules 7 % l’ont pleinement intégrée. Ce chiffre reste circonscrit à des entreprises britanniques interrogées mi-2025 : il illustre un ordre de grandeur observé ailleurs, pas une mesure de la situation française. L’approche la plus utile reste de mesurer la situation propre à l’entreprise et de conserver les preuves qui expliquent chaque résultat.